2021年8月25日 | 点击此处收听文章
下萨克森州数据保护专员对一家在线商店运营商处以65,000欧元罚款。据该机构2020年活动报告显示，处罚原因是商店系统过时、不符合最新技术标准且存在重大安全漏洞。攻击者仅需较低成本即可获取该软件中所有注册用户的访问凭据。
涉案网站使用的是“xt:Commerce版本3.0.4 SP2.1”在线商店应用。自2014年起，软件制造商已停止提供安全更新，并曾明确警告缺乏更新将导致安全漏洞。
数据保护要求在在线销售中采取技术和组织措施
根据《通用数据保护条例》（GDPR），任何处理个人数据的控制者或处理者均有义务采取技术和组织措施（TOM）。这些措施旨在通过事前行动识别、权衡并最小化个人数据风险，例如GDPR第32条列举的伪名化和加密等。
TOM不仅需在部署时提供充分保护，在数据处理全过程中也必须持续有效。鉴于技术能力和威胁不断演变，必须定期检查和更新安全措施。换言之，使用处理个人数据的程序时，充分保护不仅在初始阶段需确保，在后续多年使用中同样需要维持。
读取密码并未造成太大困难
数据显示，涉案软件长期未更新，导致黑客可利用SQL注入攻击向数据库插入指令，进而窃取或删除访问凭据，甚至关闭服务器。
此外，该系统未使用“盐值”（Salt）增强密码安全性。虽然数据采用了MD5哈希函数处理，但该算法并非专为密码保护设计，破解难度较低。报告指出，实施此类安全措施的工作量可控，通常仅更新软件版本即可消除漏洞。
因技术措施不充分，该企业违反了GDPR第32条第1款，最终接受65,500欧元罚款。考虑到企业在正式处罚前已通知受影响用户更改密码，监管机构在裁量时予以了酌情考虑。
更多详情及必要的技术和组织安全措施，请参阅下萨克森州数据保护监察员2020年度报告第95页。